Начало эпидемии Code Red

"Лаборатория Касперского" сообщает об обнаружении нового поколения червей, способного функционировать в Интернете без использования файлов. Этот тип вредоносных программ осуществляет все операции (включая распространение и проведение DDoS-атак) исключительно в системной памяти компьютера, что значительно затрудняет процесс их обнаружения и нейтрализации.

Первый представитель данного семейства сетевых червей, 'Bady' (также известный под именем 'Code Red'), по данным ZDNet, уже заразил около 12 000 серверов по всему миру и провел крупномасштабную DDoS-атаку на Web-сервер Белого дома (www.whitehouse.gov), вызвав нарушение его нормальной работы.

'Bady' заражает только компьютеры под управлением Windows 2000 (без установленных сервисных пакетов), с установленным Microsoft Internet Information Server (IIS) и включенной службой индексирования (Indexing Service). Вместе с тем, именно это программное обеспечение чаще всего используется на коммерческих Web, FTP и почтовых серверах, что и определило

широкое распространение червя. Масштабы эпидемии могли бы быть еще более внушительными, если бы червь поражал и другие версии Windows, например, Windows NT и Windows XP. Однако автор червя умышленно "нацелил" его только на системы Windows 2000.

Для проникновения на удаленные компьютеры червь использует обнаруженную в июне 2001 г. брешь в системе безопасности IIS, которая позволяет злоумышленникам запускать на удаленных серверах посторонний программный код. Для этого 'Bady' посылает на случайно выбранный удаленный сервер специальный запрос дающий компьютеру команду запустить основную программу червя, которая в свою очередь попытается таким же образом проникнуть на другие серверы. Одновременно в памяти компьютера может существовать сразу сотни активных процессов червя, что существенно замедляет работу сервера.

18 июня 2001 г. Microsoft выпустила патч (http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security

/bulletin/ms01-033.asp), устраняющий данную брешь, однако подавляющее большинство пользователей еще не успело обновить свое программное обеспечение. "'Bady' еще раз подтверждает огромную важность своевременного обновления используемого ПО.

"Сегодня это является главным залогом как индивидуальной, так и корпоративной компьютерной безопасности, - комментирует Денис Зенкин, руководитель информационной службы "Лаборатории Касперского". - Данный червь наглядно показал, что для выпуска вредоносного кода, использующего бреши в системах безопасности, хакерам достаточно всего

нескольких дней".

Важной особенностью 'Bady' является то, что в процессе работы он не использует никаких временных или постоянных файлов. "Данный червь действительно уникален: он существует либо в системной памяти зараженных компьютеров, либо в виде TCP/IP-пакета при пересылке на удаленные машины, - сказал Евгений Касперский, руководитель антивирусных исследований компании. - Подобная "бестелесность" представляет серьезную проблему для защиты серверов, поскольку требует установки специальных антивирусных модулей на межсетевые экраны".

Помимо значительного замедления работы зараженных компьютеров, 'Bady' имеет другие побочные действия. Во-первых, червь перехватывает обращения посетителей к Web-сайту, который управляется зараженным IIS-сервером, и взамен оригинального содержимого передает им фальсифицированную страницу. После показа фальсифицированной стартовой страницы взломанного Web-сайта в течение 10 часов, червь автоматически возвращает все на свои места и посетители видят оригинальную версию сайта. Важно отметить, что данный эффект проявляется только на системах, где по умолчанию используется язык "US English". Во-вторых, с 20 по 28 число каждого месяца включительно червь осуществляет DDoS (Distributed Denial of Service)-атаку на сайт Белого дома США (www.whitehouse.gov). Для этого копии червя на всех зараженных компьютерах посылают многочисленные запросы на соединение, что вызывает зависание сервера, обслуживающего данный Web-сайт.

Для нейтрализации, а также в качестве профилактической меры для предотвращения проникновения червя на сервер, рекомендуется пользователям немедленно установить "заплатку" для исправления "бреши" в системе безопасности IIS.